MOVEit 混乱事件始末

• 5 月 28 日

  阵亡将士纪念日周末，Progress 接到一位客户的电话，提醒该公司其 MOVEit 环境中出现异常活动。

• 5 月 31 日

  Progress 披露了一个零日漏洞 ，影响 MOVEit 所有本地部署和云端版本，该文件传输服务被广泛使用。
  
  该 SQL 注入漏洞已被积极利用，允许威胁行为者提升权限并未经授权访问客户环境。
  
  该供应商表示已为本地部署版本的 MOVEit 发布补丁，并修补了云端测试服务器。

• 6 月 1 日

  多家威胁情报公司分享了 该零日漏洞被积极利用的证据 以及入侵指标。
  
  “过去几天内发生了大规模利用和广泛的数据窃取，”Mandiant Consulting首席技术官Charles Carmakal在一份声明中表示。
  
  Progress表示，它“极其重要”所有MOVEit客户立即采取缓解措施，包括禁用所有到MOVEit环境的HTTP和HTTPS流量。

• 6月2日

  该被积极利用的漏洞被分配了 CVE-2023-34362 ，严重性评级为10分中的9.8分。
  
  Censys的研究人员表示，他们 观察到超过3000个MOVEit主机 在第一个漏洞被披露或修补之前就已暴露在互联网上。
  
  “这类漏洞是恶意网络行为者频繁使用的攻击载体，对联邦企业构成重大风险，”CISA在一份 警报.

• 6月4日

  微软 将攻击归因于 Clop，一个在其 新的威胁行为者命名体系.

• 6月5日

  一批 首批受害者 开始浮出水面，披露了与被利用漏洞相关的泄露事件，包括英国航空、BBC和 新斯科舍省政府.
  
  Progress公司一再拒绝透露在零日漏洞最初被发现时有多少公司正在使用MOVEit。该公司估计，根据一项数据，MOVEit Transfer和MOVEit Cloud占其年收入的比例不到4%。 向美国证券交易委员会提交的8-K文件.
  
  Zellis是一家薪资服务提供商，为英国数百家公司提供服务，其多家客户受到MOVEit零日漏洞攻击的影响。Zellis的一位发言人在声明中表示：“我们可以确认，我们的一小部分客户受到了这一全球性问题的影响，我们正在积极努力为他们提供支持。”
  
  在发现漏洞之前，被积极利用的时期仍然是一个不断变化的目标，因为安全研究人员发现了此前未知的、与SQL注入漏洞相关的攻击，以及随后发现的漏洞。
  
  Trustwave运营高级副总裁斯宾塞·英格拉姆通过电子邮件表示：“Trustwave至少从2月份起就观察到源IP地址近期一直在利用MOVEit应用程序进行攻击活动。”
  
  Huntress重现了攻击链 利用MOVEit中的漏洞，并声称Progress公司及安全研究人员此前分享的webshell入侵指标并非攻陷该软件的必要条件。这后来被确认为一系列随后发现的漏洞。

• 6月6日

  Clop（又称TA505）在其暗网站点上发布声明，声称利用MOVEit漏洞 从数百家组织中窃取了数据.
  
  Clop设定了6月14日的最后期限，要求受害者联系该组织并开始谈判。
  
  Mandiant还 将攻击归因于Clop，该组织被其认定为FIN11，并发布了一份34页的 遏制与加固指南 ，供MOVEit客户使用。
  
  在Progress公司最初披露后的一周内，CISA、 CrowdStrike, Mandiant、微软、 Huntress 和 Rapid7 都在协助该公司进行事件响应和持续调查。
  
  PBI Research Services是一家使用MOVEit并帮助许多大型企业搜索数据库的第三方供应商，该公司通知部分客户，其系统遭受了与MOVEit攻击相关的严重入侵。PBI系统的泄露导致数百万客户文件面临被盗风险。
  
  “PBI Research Services与部分客户使用Progress Software的MOVEit文件传输应用程序。5月底，Progress Software发现其MOVEit软件遭受网络攻击，影响了我们少数使用MOVEit管理门户软件的客户，导致私人记录被访问，”PBI发言人在一份声明中表示。

• 6月7日

  CISA和FBI发布了一份 联合公告 ，为面临入侵风险的组织提供建议。
  
  “鉴于TA505利用此漏洞的速度和便捷性，以及其过往的攻击活动，FBI和CISA预计未修补的软件服务将在私人和公共网络中被广泛利用，”联邦当局表示。

• 6月8日

  风险分析公司 Kroll将时间线推前 ，指出这一已被利用的漏洞可追溯至多年前，并声称Clop早在2021年7月就已知道MOVEit中的其中一个漏洞，并一直在尝试利用方法。

• 6月9日

  Progress证实了Huntress关于 MOVEit中一系列新发现的SQL漏洞的发现。该公司针对新漏洞发布了补丁，并表示没有证据表明这些漏洞已被利用。

• 6月11日

  MOVEit 中新增的 SQL 注入漏洞被分配了 CVE-2023-35036 ，严重程度评级为 9.1。

• 6月14日

  “随着 Clop 设定的 初始截止日期到期.
  
  自称是提供‘事后渗透测试’的顶级组织之一的 Clop 兑现了其威胁，并在其数据泄露网站上 点名了十几家受害组织 ，网络安全专家和潜在受害者都处于高度警惕状态。

• 6月15日

  Progress 披露并发布了一个 新的 MOVEit 漏洞的补丁，该公司在一份 公告中表示，这标志着自两周前 Progress 披露一个被积极利用的零日漏洞以来的第三个漏洞。
  
  该供应商敦促所有 MOVEit 客户立即解决新的权限提升漏洞 CVE-2023-35708，包括采取措施禁用所有进出 MOVEit 环境的 HTTP 和 HTTPS 流量。
  
  “目前，我们尚未看到任何迹象表明此新漏洞已被利用，”MOVEit 的一位发言人在电子邮件声明中告诉 Cybersecurity Dive。
  
  该公告发布之际，CISA 官员刚刚透露，有“少数”联邦机构受到了此次攻击活动的影响，CISA 将此归因于 Clop 勒索软件团伙。
  
  “尽管我们非常关注此次攻击活动并正在紧急处理，但这不像 SolarWinds 事件那样对我们的国家安全构成系统性风险，”CISA 局长 Jen Easterly 在新闻电话会议上表示。
  
  “据我们所知，这些行为者只是在入侵发生的精确时间窃取了专门存储在该文件传输应用程序上的信息，”Easterly 说。
  
  当时，Emsisoft 威胁分析师 Brett Callow 表示，已有 63 个已知且已确认的受害者，此外还有数量不详的美国联邦机构。

• 6月16日

  美国国务院悬赏 1000万美元 ，征集有关 Clop 勒索软件团伙的信息，此前该部门至少两个实体的记录遭到泄露。
  
  Reliaquest 的研究人员表示，他们观察到“ 首次可能的数据泄露事件 ，据 Clop 网站显示，一个被点名的组织显然拒绝参与谈判。”

• 6月19日

  据 Reliaquest 称，Clop 同时泄露了数据并公开点名一个组织，这标志着与 MOVEit 漏洞相关的第二次数据泄露事件。

• 6月22日

  美国最大的养老金体系——加州公共雇员退休系统确认，约 76.9 万名成员的个人数据遭到暴露，并 因 PBI 泄露事件被下载.

• 6月23日

  MOVEit 攻击活动的受害者数量上升至 超过100家组织，Callow 通过电子邮件告诉 Cybersecurity Dive。

• 6月26日

  据 Reliaquest 称，Clop 声称迄今已泄露了从其 17 个所谓受害者那里窃取的数据。

• 6月29日

  Progress报告称，在网络安全事件和漏洞响应方面支出了近150万美元 ，该支出发生在其第二财季（截至5月31日），并表示预计未来几个季度还将产生额外支出。
  
  Progress总裁兼首席执行官Yogesh Gupta在公司财报电话会议上表示：“我们一直非常重视这个问题。”据 Seeking Alpha文字记录.
  
  Gupta表示：“在处理此类问题时，重要的是不要进行广泛或过早的猜测，而是要专注于当前的任务，尽我们所能保护客户免受持续的网络犯罪分子威胁。”

• 7月5日

  MOVEit中被广泛利用的漏洞已 影响了近200家组织 ，据Callow称。
  
  Progress发布了另一项更新，包括安全修复，并表示今后将定期 每两个月发布一次MOVEit产品更新 。

• 7月6日

  Progress在一份 公告 中披露了三个新漏洞，该文件详细说明了其在前一天发布的服务包中所包含的安全修复。
  
  其中一个漏洞 CVE-2023-36934的严重性评级为9.1。另外两个漏洞是一系列SQL注入漏洞，分别被分配为 CVE-2023-36932和 CVE-2023-36933，目前仍在分析中。
  
  这使得自最初披露以来分配给MOVEit的CVE总数达到六个。

• 7月7日

  CISA发布了一份 警报，建议MOVEit客户应用产品更新。“网络威胁行为者可能利用其中一些漏洞获取敏感信息，”联邦机构表示。

• 7月12日

  Progress声称六个漏洞中只有一个（最初发现的零日漏洞）已被利用。
  
  “据我们目前所知，5月31日漏洞之后发现的所有漏洞均未被积极利用，”一位发言人在电子邮件中告诉Cybersecurity Dive。
  
  “我们始终专注于通过帮助客户采取必要措施进一步加固其环境（包括应用我们发布的修复程序）来支持他们，”发言人称。
  
  这家企业软件供应商回应了组织在其整个技术栈中面临的风险。“当今的现实是，老练的网络犯罪团伙正以越来越高的频率发起高度复杂的攻击活动，”发言人称。
  
  “虽然没有人能幸免，”发言人称，“但自从得知最初漏洞以来，我们的目标一直是努力解决客户的安全保障问题，包括及时发布补丁、扩展支持服务以解答客户疑问、建立稳定的更新沟通节奏，并与第三方安全专家合作，以进一步改进我们产品的安全性，并分享可能惠及客户及整个行业的信息。”  

• 7月14日

  自Progress首次获知客户MOVEit环境中的恶意活动以来，已识别出超过300家受害组织。每天都有大型组织加入这一不断增长的受害者名单。
  
  KonBriefing Research创始人兼董事总经理Bert Kondrus一直在 维护受害者名单 ，并已识别出至少317家受被利用的MOVEit漏洞影响的组织。
  
  Callow表示，他已识别出至少314家受害组织，并指出超过1800万人的个人身份信息（PII）已遭泄露。
  
  “身份欺诈的潜在风险并非唯一威胁，甚至不一定是最严重的，”Callow表示。“网络钓鱼和商业电子邮件入侵可能是更大的威胁。”
  
  专家预计，受影响的组织和个人数量将继续上升，其中包括报告泄露事件的受害者以及Clop网站上列出的其他受害者。